Mittel

jsx-slack insufficient patch for CVE-2021-43838 ReDoS

Veröffentlicht: 06.01.2022
Aktualisiert: 11.10.2026 10:22

We found the patch for CVE-2021-43838 in jsx-slack v4.5.1 is insufficient to save from Regular Expression Denial of Service (ReDoS) attack.

This vulnerability affects to jsx-slack v4.5.1 and earlier versions.

Impact

If attacker can put a lot of JSX elements into <blockquote> tag with including multibyte characters, an internal regular expression for escaping characters may consume an excessive amount of computing resources.

/** @jsxImportSource jsx-slack */
import { Section } from 'jsx-slack'

console.log(
  <Section>
    <blockquote>
      {[...Array(40)].map(() => (
        <p>亜</p>
      ))}
    </blockquote>
  </Section>
)

v4.5.1 has released by passing the test against ASCII characters but missed the case of multibyte characters. https://github.com/yhatt/jsx-slack/security/advisories/GHSA-55xv-f85c-248q

Patches

jsx-slack v4.5.2 has updated regular expressions for escaping blockquote characters to prevent catastrophic backtracking. It is also including an updated test case to confirm rendering multiple tags in <blockquote> with multibyte characters.

References

https://github.com/yhatt/jsx-slack/commit/46bc88391d89d5fda4ce689e18ca080bcdd29ecc

Credits

Thanks to @hieki for finding out this vulnerability.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	jsx-slack	< 4.5.2	4.5.2

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-400
Plattform: npm
Paket: jsx-slack
Veröffentlicht: 06.01.2022
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-hp68-xhvj-x6j6 - CC BY 4.0

Schwachstellenhistorie: jsx-slack

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 12.2021 01.2022
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Mittel 1
Niedrig 1

Veröffentlichungen pro Jahr

2021: 1
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

06.01.2022

jsx-slack insufficient patch for CVE-2021-43838 ReDoS dieser Eintrag

Mittel · 5.3 CVE-2021-43843 < 4.5.2 4.5.2
17.12.2021

Regular Expression Denial of Service (ReDoS) in jsx-slack

Niedrig · 3.7 CVE-2021-43838 < 4.5.1 4.5.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden